---

## 1. مقدمة

بنية LMD، ومراحل الكشف، والأنظمة الأساسية المدعومة.

Linux Malware Detect (LMD) هو ماسح برامج ضارة لنظام Linux صدر بموجب ترخيص GNU GPLv2، وهو مصمّم للتعامل مع التهديدات التي تواجه بيئات الاستضافة المشتركة. يستخدم بيانات التهديدات من أنظمة كشف التسلل على حافة الشبكة لاستخراج البرامج الضارة التي تُستخدم فعليًا في الهجمات، ويولّد توقيعات للكشف عنها. بالإضافة إلى ذلك، تُشتق بيانات التهديدات من إرسالات المستخدمين عبر ميزة LMD checkout ومن موارد مجتمع البرامج الضارة.

يركّز LMD على فئات البرامج الضارة التي غالبًا ما تفوتها منتجات مكافحة الفيروسات التقليدية: قذائف PHP، وأدوات حقن JavaScript، والأبواب الخلفية المشفرة بـ base64، وروبوتات IRC، وغيرها من تهديدات طبقة تطبيقات الويب التي تستهدف حسابات مستخدمي الاستضافة المشتركة بدلاً من البنية الداخلية لنظام التشغيل.

**مراحل الكشف**
- مطابقة تجزئة ملفات MD5 لتحديد التهديدات بدقة
- مطابقة أنماط HEX عبر محرك grep الدفعي الأصلي مع عمال متوازيين
- فحص التوقيعات المركبة (csig) بمنطق بولياني متعدد الأنماط (AND/OR/عتبة)، ومطابقة غير حساسة لحالة الأحرف، ومطابقة واسعة (UTF-16LE)، وبدل فجوات محدودة
- فحص قواعد YARA الأصلي مع دعم كامل للوحدات والقواعد المخصصة
- تحليل إحصائي لأطوال السلاسل النصية لكشف التهديدات المشوشة (base64, gzinflate)
- تكامل ClamAV لتغطية موسعة عبر توقيعات ClamAV التي يحتفظ بها LMD

**الفحص والمراقبة**
- فحص جميع الملفات، أو الملفات المعدّلة مؤخرًا، أو الملفات من قائمة
- مراقبة الملفات في الوقت الفعلي عبر inotify الخاصة بالنواة (أحداث إنشاء/تعديل/نقل)
- فحص رفع HTTP عبر خطاف ModSecurity2 `inspectFile`
- فحص في الخلفية للعمليات واسعة النطاق دون مراقبة
- تصفية regex للإدراج/الاستبعاد لكل عملية فحص

**العزل والاستجابة**
- قائمة انتظار للعزل مع تخزين ملفات بدون صلاحيات
- عزل/استعادة مجمّع حسب معرف الفحص
- قواعد تنظيف خاصة بالتوقيعات لإزالة البرامج الضارة
- استعادة كاملة للملفات (المحتوى، المالك، الصلاحيات، mtime)

**التنبيهات والتقارير**
- تنبيهات بريد إلكتروني HTML + نص بتصميم rfxn الموحد (علامة تركوازية، إدخالات بطاقات)
- دعم ترحيل SMTP (TLS/SSL) للبيئات التي لا تحتوي على MTA محلي
- تنبيهات لكل إدخال عبر Slack Block Kit وTelegram MarkdownV2 وDiscord embed
- قوالب تنبيه قابلة للتخصيص عبر تجاوزات `alert/custom.d/`
- تقارير فحص مع تفاصيل الإصابات لكل ملف، وأنواع إصابات مرمّزة بالألوان

**البنية التحتية**
- ربط تلقائي لتوقيعات ClamAV لتغطية ثنائية المحرك
- مهمة cron يومية مع كشف تلقائي لأكثر من 12 لوحة تحكم استضافة
- التحكم في موارد وحدة المعالجة المركزية/الإدخال والإخراج (nice, ionice, cpulimit)
- تحديثات تلقائية للتوقيعات والإصدارات
- دعم وحدة خدمة systemd وسكربتات SysV init

### الأنظمة الأساسية المدعومة

يعمل LMD على أي توزيعة Linux تتوفر على bash والأدوات القياسية من GNU. الأنظمة التي تم اختبارها:

| المنصة | نظام الإقلاع | مسار إعداد الحزمة |
|----------|-------------|---------------------|
| RHEL / Rocky / AlmaLinux 8, 9, 10 | systemd | `/etc/sysconfig/maldet` |
| CentOS 6, 7 | SysV / systemd | `/etc/sysconfig/maldet` |
| Debian 10, 11, 12 | systemd | `/etc/default/maldet` |
| Ubuntu 20.04, 22.04, 24.04 | systemd | `/etc/default/maldet` |
| Gentoo | OpenRC | — |
| Slackware | SysV | — |
| FreeBSD | — | — (جزئي؛ بدون inotify) |

---

## 2. التثبيت

تثبيت LMD وترقيته وإزالته من النظام.

يتولّى السكربت المرفق `install.sh` جميع مهام التثبيت. ويتم تلقائيًا إنشاء نسخ احتياطية من التثبيتات السابقة.```bash
./install.sh

### 3.1 الخيارات العامة

| المتغير | الغرض | الافتراضي |
|----------|---------|---------|
| `autoupdate_signatures` | تحديث التوقيعات تلقائيًا يوميًا عبر cron | `1` |
| `autoupdate_version` | تحديث إصدار LMD تلقائيًا يوميًا عبر cron | `1` |
| `autoupdate_version_hashed` | التحقق من تجزئة SHA-256 للملف التنفيذي LMD مقابل الإصدار الأساسي (يرجع إلى MD5) | `1` |
| `sigup_interval` | الساعات بين فحوصات تحديث التوقيعات التلقائية عبر مهمة cron مستقلة (`/etc/cron.d/maldet-sigup`)؛ 0 = معطّل | `6` |
| `cron_prune_days` | الأيام للاحتفاظ ببيانات الحجر الصحي/الجلسة/الملفات المؤقتة | `21` |
| `cron_daily_scan` | تفعيل الفحص التلقائي اليومي عبر cron | `1` |
| `scan_days` | الأيام للرجوع للخلف للبحث عن الملفات المعدلة في فحوصات cron اليومية | `1` |
| `import_config_url` | عنوان URL لتنزيل تجاوز الإعدادات عن بُعد | — |
| `import_config_expire` | انتهاء صلاحية ذاكرة التخزين المؤقت للإعداد المستورد (بالثواني) | `43200` |
| `sig_import_md5_url` | عنوان URL لتنزيل توقيعات MD5 المخصصة | — |
| `sig_import_hex_url` | عنوان URL لتنزيل توقيعات HEX المخصصة | — |
| `sig_import_yara_url` | عنوان URL لتنزيل قواعد YARA المخصصة | — |
| `sig_import_sha256_url` | عنوان URL لتنزيل توقيعات SHA-256 المخصصة | — |
| `sig_import_csig_url` | عنوان URL لتنزيل التوقيعات المركبة المخصصة | — |
| `session_legacy_compat` | إنشاء ملفات جلسات نصية قديمة إلى جانب TSV: `auto` (اكتشاف جلسات الصيغة القديمة)، `1` (دائمًا)، `0` (TSV فقط) | `auto` |

### 3.2 التنبيهات

| المتغير | الغرض | الافتراضي |
|----------|---------|---------|
| `email_alert` | تفعيل التنبيهات عبر البريد الإلكتروني بعد الفحوصات | `0` |
| `email_addr` | عنوان مستلم التنبيه | `[email protected]` |
| `email_subj` | قالب سطر موضوع البريد الإلكتروني | `maldet alert from $(hostname)` |
| `email_ignore_clean` | كتم التنبيهات عندما تم تنظيف جميع الإصابات | `1` |
| `email_panel_user_alerts` | إرسال تنبيهات مستخدمي اللوحة عند اكتشاف إصابة | `0` |
| `email_panel_from` | ترويسة From لتنبيهات مستخدمي اللوحة | `[email protected]` |
| `email_panel_replyto` | ترويسة Reply-To لتنبيهات مستخدمي اللوحة | `[email protected]` |
| `email_panel_alert_subj` | سطر الموضوع لتنبيهات مستخدمي اللوحة | `maldet alert from $(hostname)` |
| `email_format` | تنسيق البريد الإلكتروني: `text` أو `html` أو `both` | `html` |
| `smtp_relay` | عنوان URL لخادم SMTP الوسيط (مثل `smtps://smtp.gmail.com:465`) | — |
| `smtp_from` | عنوان المرسل للتسليم عبر SMTP الوسيط | — |
| `smtp_user` | اسم مستخدم مصادقة SMTP | — |
| `smtp_pass` | كلمة مرور مصادقة SMTP | — |
| `slack_alert` | تفعيل تنبيهات رفع الملفات إلى Slack | `0` |
| `slack_subj` | اسم الملف لرفع Slack | `maldet alert from $(hostname)` |
| `slack_token` | رمز Slack Bot API (نطاقات الصلاحية: `files:write`, `files:read`) | — |
| `slack_channels` | قائمة مفصولة بفواصل بأسماء أو معرّفات القنوات | `maldetreports` |
| `telegram_alert` | تفعيل تنبيهات Telegram | `0` |
| `telegram_bot_token` | رمز Telegram Bot API | — |
| `telegram_channel_id` | معرّف محادثة أو مجموعة Telegram | — |
| `discord_alert` | تفعيل تنبيهات Discord webhook | `0` |
| `discord_webhook_url` | عنوان URL لـ Discord webhook لتسليم التنبيهات | — |

### 3.3 خيارات الفحص

| المتغير | الغرض | الافتراضي |
|----------|---------|---------|
| `scan_hashtype` | خوارزمية التجزئة للمرحلة 1: `auto`, `sha256`, `md5`, `both` | `auto` |
| `scan_max_depth` | أقصى عمق دليل لأمر find | `15` |
| `scan_min_filesize` | أدنى حجم ملف للفحص | `24` bytes |
| `scan_max_filesize` | أقصى حجم ملف للفحص | `2048k` |
| `scan_hexdepth` | عمق البايت لمطابقة توقيعات HEX | `262144` |
| `scan_hex_chunk_size` | الملفات لكل دفعة صغيرة في فحص HEX+CSIG (النطاق: 1024-20480) | `10240` |
| `scan_csig` | تفعيل فحص التوقيعات المركبة (csig) (الوضع الأصلي فقط) | `1` |
| `scan_workers` | عمليات العامل المتوازية لتمريرات فحص MD5 وSHA-256 وHEX وCSIG | `auto` |
| `scan_cpunice` | أولوية Nice لعملية الفحص (من -19 إلى 19) | `19` |
| `scan_ionice` | أولوية فئة جدولة الإدخال/الإخراج IO (0-7) | `6` |
| `scan_cpulimit` | الحد الأقصى لاستخدام المعالج بالنسبة المئوية (0=معطّل) | `0` |
| `scan_ignore_root` | تخطي الملفات المملوكة لـ root في الفحوصات (لا يُطبَّق في وضع المراقبة افتراضيًا؛ راجع `monitor_scan_owner_filters`) | `1` |
| `scan_ignore_user` | تخطي الملفات المملوكة لمستخدمين محددين | — |
| `scan_ignore_group` | تخطي الملفات المملوكة لمجموعات محددة | — |
| `scan_user_access` | السماح للمستخدمين غير root بتشغيل الفحوصات | `0` |
| `scan_user_access_minuid` | أدنى UID لإنشاء دليل المستخدم --mkpubpaths | `100` |
| `scan_find_timeout` | المهلة الزمنية لتوليد قائمة ملفات find (0=معطّل، الحد الأدنى 60 ثانية، يُوصى بـ 14400=4 ساعات) | `0` |
| `scan_export_filelist` | حفظ نتائج find في tmp/find_results.last | `0` |
| `scan_tmpdir_paths` | مسارات الملفات المؤقتة القابلة للكتابة عالميًا المضمنة في فحوصات -a/-r | `/tmp /var/tmp /dev/shm /var/fcgi_ipc` |
| `string_length_scan` | تفعيل التحليل الإحصائي لطول السلاسل النصية | `0` |
| `string_length` | أدنى طول سلسلة نصية مشبوهة | `150000` |
| `scan_progress_log_interval` | الثواني بين نقاط تفتيش سجل التقدم أثناء الفحوصات الخلفية (0=معطّل) | `60` |
| `scan_meta_cleanup_age` | الساعات للاحتفاظ بملفات بيانات الفحص المكتملة/المنهية (0=معطّل) | `48` |
| `maint_compress_age` | الأيام قبل ضغط ملفات الجلسات المكتملة بصيغة gzip (0=معطّل) | `30` |
| `maint_archive_age` | الأيام قبل تجميع الجلسات المضغوطة في أرشيفات شهرية (0=معطّل) | `90` |

### 3.4 فحص YARA

يجري فحص YARA الأصلي استدعاء البرنامج الثنائي `yara` (أو `yr` من YARA-X) بشكل مستقل عن ClamAV، مع دعم وحدات YARA الكاملة والقواعد المترجمة وملفات القواعد المخصصة التي لا تستطيع مجموعة YARA الفرعية المحدودة في ClamAV معالجتها. وعند توفرهما معًا، يُفضَّل `yr` (YARA-X). وعند الضبط على `auto`، يتم تفعيل YARA الأصلي فقط عندما يكون ClamAV غير متاح ويتم العثور على برنامج yara/yr الثنائي، مما يمنع تقييم القواعد بشكل مكرر.

| المتغير | الغرض | الافتراضي |
|----------|---------|---------|
| `scan_yara` | تفعيل مرحلة فحص YARA الأصلية: `auto` (اكتشاف البرنامج الثنائي، الرجوع إلى ClamAV)، `0` (معطّل)، `1` (مفعّل) | `auto` |
| `scan_yara_timeout` | المهلة الزمنية بالثواني (0=بدون مهلة) | `300` |
| `scan_yara_scope` | نطاق القواعد عندما يكون ClamAV نشطًا أيضًا: `all` (فحص أصلي كامل) أو `custom` (القواعد المخصصة فقط بشكل أصلي، ويتولى ClamAV معالجة rfxn.yara) | `custom` |
| `sig_import_yara_url` | عنوان URL لتنزيل قواعد YARA المخصصة عند تحديث التوقيعات | — |

**قواعد YARA المخصصة** يمكن وضعها في موقعين، وكلاهما محفوظ عبر الترقيات:
- `sigs/custom.yara` — قواعد ملف واحد
- `sigs/custom.yara.d/` — دليل إدراج مباشر لملفات القواعد `.yar` و`.yara`

متوافق مع مجموعات قواعد خارجية مثل [YARA Forge](https://yarahq.github.io/) و[Signature Base](https://github.com/Neo23x0/signature-base). كما تُدعم القواعد المترجمة (مخرجات `yarac`) عبر `sigs/compiled.yarc`.

**الفحص الدفعي:** تستخدم إصدارات YARA 4.0+ وجميع إصدارات YARA-X خيار `--scan-list` لفحص ملفات الدُفعات بكفاءة. وتتراجع إصدارات YARA الأقدم تلقائيًا إلى الفحص لكل ملف على حدة.

فعّل في وقت التشغيل دون تعديل الإعدادات:```bash
maldet -co scan_yara=1 -a /home/?/public_html

### 4.1 أكواد الخروج

| الرمز | المعنى |
|------|---------|
| `0` | النجاح، لا توجد إصابات بالبرمجيات الخبيثة |
| `1` | خطأ أو جميع مسارات الفحص غير موجودة |
| `2` | تم العثور على إصابات بالبرمجيات الخبيثة |

**أمثلة:**```bash
# Scan all files under user web roots
maldet -a /home/?/public_html

# Scan recent files with auto-quarantine and YARA enabled
maldet -co quarantine_hits=1,scan_yara=1 -r /home/?/public_html 2

# Background scan with email alert to specific address
maldet -b -co [email protected] -a /var/www

# View the most recent scan report
maldet -e

# Email a specific report
maldet --mailto [email protected] -e 050910-1534.21135

# Output scan report as JSON (pipe to jq for formatting)
maldet --format json -e 050910-1534.21135

# List all reports as JSON
maldet --format json -e list

# Shorthand JSON output (equivalent to --format json -e)
maldet --json-report 050910-1534.21135

# Restore all quarantined files from a scan
maldet -s 050910-1534.21135

**استئناف نقطة التحقق:** يكتب `--stop` ملف نقطة تحقق يسجّل مرحلة الفحص، وعدد الإصابات،
وخيارات الإعداد، وتقدّم كل عامل. يتحقق `--continue` من نقطة التحقق،
ويحذّر إذا تغيّرت التواقيع، ويعيد بناء قائمة الملفات من حالة نظام الملفات الحالية،
ويستعيد الإصابات السابقة، ويستأنف الفحص من المرحلة المتقطعة. تستأنف عوامل HEX على
مستوى الدفعة (خسارة حوالي 30 ثانية من العمل لكل عامل).

**دعم المحرك:** يدعم المحرك الأصلي (عوامل HEX/CSIG/hash) و`clamscan` المستقل
جميع عمليات دورة الحياة. يدعم ClamAV القائم على الخفي (`clamdscan`/`clamd`)
`--kill` فقط — يتم رفض `--pause` و`--stop` برسالة خطأ لأن
حالة الإدخال/الإخراج للخفي غير شفافة ومشتركة مع عملاء آخرين.

---

## 5. خيارات التجاهل

استبعاد المسارات وأنواع الملفات والتواقيع من الفحص والمراقبة.

تتحكم أربعة ملفات تجاهل في ما يُستبعد من الفحص:

| الملف | الصيغة | الغرض |
|------|--------|---------|
| `ignore_paths` | مسارات مفصولة بأسطر | استبعاد المجلدات أو الملفات من الفحص |
| `ignore_file_ext` | امتدادات مفصولة بأسطر | استبعاد امتدادات الملفات (`.js`, `.css`) |
| `ignore_sigs` | أنماط مفصولة بأسطر | تخطّي التواقيع المطابقة (regex، مطابقة سلسلة فرعية) |
| `ignore_inotify` | مسارات حرفية مفصولة بأسطر | استبعاد أحداث مراقبة inotify |

توجد جميع ملفات التجاهل تحت `/usr/local/maldetect/`.

**أمثلة:**```
# ignore_paths
/home/user/public_html/cgi-bin

# ignore_file_ext
.js
.css

# ignore_sigs
base64.inject.unclassed

# ignore_inotify (user-owned — your additions only)
/home/user/public_html/cache/
backup-

# ignore_inotify.defaults (LMD-managed — refreshed on every upgrade)
# Ships under /usr/local/maldetect/internals/ with curated defaults
# for systemd-private tmpdirs, MariaDB temp tables, Redis, ClamAV, etc.
# Do NOT edit — add your own entries to ignore_inotify instead.

**كيف يعمل:**

`maldet -m` يشغّل عملية مراقبة (supervisor) في الواجهة الأمامية افتراضيًا. تدير عملية المراقبة عملية فرعية `inotifywait` وتتعامل مع استعادة الأعطال، وإعادة تحميل الإعدادات، وتنبيهات الملخص. استخدم `-b` لتشغيل المراقب كعملية خلفية (daemon) والعودة فورًا.

1. `monitor_init()` يُنشئ مراقبات inotify على جميع الملفات الموجودة تحت المسارات المراقَبة
2. يتم وضع أحداث الملفات في قائمة انتظار وفحصها دفعاتيًا كل `inotify_sleep` ثانية (الافتراضي: 15)
3. تتم إعادة تحميل الإعدادات كل `inotify_reloadtime` ثانية (الافتراضي: 3600)
4. يتم ضبط `max_user_watches` و `max_user_instances` في النواة تلقائيًا للأداء الأمثل
5. إذا تعطّل `inotifywait`، تقوم عملية المراقبة بإعادة تشغيله مع تراجع أسي (2، 4، 8، 16، 32 ثانية)؛ بعد 3 إخفاقات متتالية تخرج عملية المراقبة

**تنبيهات الملخص (Digest alerts)** تُرسل دوريًا على الفاصل الزمني المحدد بواسطة `digest_interval` (الافتراضي: `24h`). إذا تجاوز عدد الإصابات منذ آخر ملخص حد `digest_escalate_hits`، يتم إرسال تنبيه تصعيد فوري (الافتراضي: `0`، معطّل).

**مسارات إضافية:** لمراقبة مسارات إضافية دون تعديل `conf.maldet`، أضفها سطرًا واحدًا لكل مسار إلى الملف المشار إليه بواسطة `monitor_paths_extra` (الافتراضي: `/usr/local/maldetect/monitor_paths.extra`). يتم دمجها مع قائمة المراقبة الرئيسية عند كل إعادة تحميل للإعدادات.

عند استخدام وضع `users`، تتم مراقبة المجلدات الفرعية المطابقة لـ `inotify_docroot` فقط (الافتراضي: `public_html,public_ftp`)، بالإضافة إلى مجلدات النظام المؤقتة `/tmp` و `/var/tmp` و `/dev/shm`.

**ملفات التجاهل (inotify):** استثناءات المراقبة توحّد ملفين — ملف المستخدم `/usr/local/maldetect/ignore_inotify` والملف المُدار من LMD `/usr/local/maldetect/internals/ignore_inotify.defaults`. كلاهما مفصول بأسطر ويدعم تعليقات `#` والأسطر الفارغة. يقبل ملف المستخدم `ignore_inotify` صيغة POSIX ERE (تعبير نمطي موسّع) افتراضيًا — تعمل المراسي (`^`، `$`) والبدائل (`.*`، `.+`). لاستثناء مسار حرفي يحتوي على محارف خاصة بالتعبير النمطي، اسبق الإدخال بـ `literal:` (مثلًا `literal:/tmp/app.cache`). يُعامل الملف المُدار من LMD `ignore_inotify.defaults` كنصوص فرعية حرفية — يتم ترميز إدخالاته المنسقة تلقائيًا عند التحميل. يتم استبدال ملف الافتراضيات عند كل ترقية لـ LMD؛ أضف استثناءات خاصة بموقعك إلى `ignore_inotify` فقط.

---

## 8. نظام التوقيعات

أنواع التوقيعات، اصطلاحات التسمية، التحديثات، وملفات القواعد المخصصة.

يأتي LMD مع خمسة أنواع من التوقيعات:

| النوع | الملف | الصيغة | العدد |
|------|------|--------|-------|
| تجزئات MD5 | `sigs/md5v2.dat` | `HASH:SIZE:{MD5}sig.name.N` | ~14,801 |
| تجزئات SHA-256 | `sigs/sha256v2.dat` | `HASH:SIZE:{SHA256}sig.name.N` | CDN |
| أنماط HEX | `sigs/hex.dat` | `HEXSTRING:{HEX}sig.name.N` | ~2,054 |
| توقيعات مركّبة | `sigs/csig.dat` | `SUBSIG1\|\|SUBSIG2:signame` | CDN |
| قواعد YARA | `sigs/rfxn.yara` | صيغة YARA | ~783 قاعدة |
| YARA مُجمّع | `sigs/compiled.yarc` | مخرجات `yarac` | اختياري |

كما تتم صيانة توقيعات متوافقة مع ClamAV:
- `sigs/rfxn.hdb` — صيغة ClamAV MD5
- `sigs/rfxn.ndb` — صيغة ClamAV HEX
- `sigs/rfxn.hsb` — صيغة ClamAV SHA-256 (يتطلب ClamAV >= 0.97)

**اصطلاح تسمية التوقيعات:** `{TYPE}category.name.variant_number`

تشمل الفئات: `bin.` (ثنائي)، `c.` (لغة C)، `exp.` (استغلال)، `php.` (PHP)، `js.` (JavaScript)، `perl.` (Perl)، `html.` (تصيّد)، `base64.inject.`، `gzbase64.`

**بادئات الإصابات في تقارير الفحص:**

| البادئة | المصدر |
|--------|--------|
| `{MD5}` | تطابق تجزئة MD5 (المرحلة 1) |
| `{SHA256}` | تطابق تجزئة SHA-256 (المرحلة 1) |
| `{HEX}` | تطابق نمط HEX (المرحلة 2) |
| `{CSIG}` | تطابق توقيع مركّب (المرحلة 2.5) |
| `{SA}` | التحليل الإحصائي (طول السلسلة) |
| `{YARA}` | فحص YARA الأصلي (`scan_yara=1`) |
| `{CAV}` | محرك ClamAV (clamd/clamscan) |

### 8.1 تحديثات التوقيعات

يتم تحديث التوقيعات يوميًا عبر مهمة cron أو يدويًا:```bash
maldet -u            # update signatures
maldet -u --force    # force update even if current

**تسمية ملفات العزل:** `FILENAME.INODE` (مثل: `config.php.23754`)

بالنسبة لعمليات الفحص غير الجذرية (مثل فحص رفع ModSecurity2)، تُخزَّن بيانات العزل تحت `/usr/local/maldetect/pub/USERNAME/quar/`. استخدم العلامة `-U` للتفاعل مع العزل غير الجذري:```bash
maldet -U nobody -s 112012-0032.13771

يتم رفض التحميلات الخبيثة بإجراء deny وتسجيلها في سجل تدقيق ModSecurity. لا حاجة إلى وسيط وضع — `hookscan.sh` يضع الوضع الافتراضي على نمط ModSecurity من أجل التوافق مع الإصدارات السابقة. يستخدم كل من ModSecurity v2 و v3 (libmodsecurity) نفس عقد `popen()`.

### 10.2 pure-ftpd```bash
# pure-ftpd.conf (or command-line flags):
CallUploadScript yes

# Start the upload-script daemon:
pure-uploadscript -r /usr/local/maldetect/hookscan.sh -B

الحقول الثلاثة المفصولة بنقطتين هي: قالب الأمر، والتعبير النمطي للتفعيل، والتعبير النمطي لالتقاط الاسم. عند اكتشاف برمجية خبيثة، يرفض Exim الرسالة باستخدام اسم التوقيع المُلتقط.

### 10.5 واجهة برمجة التطبيقات العامة

للتكاملات المخصصة، والفحص الجماعي، واستخدام الأطراف الثالثة:```bash
# Single file scan
hookscan.sh generic /path/to/file
# Exit: 0 = clean, 1 = error, 2 = infected
# Stdout: CLEAN: /path, INFECTED: signame /path, ERROR: reason

# Batch scan from a file list
hookscan.sh generic --list /tmp/filelist.txt

# Batch scan from stdin
find /uploads -newer /tmp/marker -type f | hookscan.sh generic --stdin

تستخدم التنبيهات الاختبارية خط أنابيب العرض الفعلي مع بيانات اصطناعية. سطر الموضوع مسبوق بـ `[TEST]`. يضمن عزل القناة أن القناة المحددة فقط هي التي تُطلق.

### 10.8 ملخص Hook

يتم تلخيص اكتشافات Hook عبر تنبيهات ملخص دورية:```bash
# On-demand digest (reads all sources: monitor + hooks)
maldet --digest

# View hook scan activity
maldet --report hooks                    # last 24 hours
maldet --report hooks --last 7d          # last 7 days
maldet --report hooks --mode modsec      # filter by mode

انظر `man maldet`(1) للحصول على مخطط JSON الخاص بالإصدار v1.2 (شكل موحد `{schema_version, scanner, host, reports[]}` عبر كل من `-e SCANID` و `-e list`).

### اكتشاف لوحات الاستضافة

يكتشف cron اليومي تلقائيًا أكثر من 12 لوحة تحكم استضافة ويضبط مسارات الفحص. انظر [6. Cron Daily](#6-cron-daily) للحصول على مصفوفة اللوحات الكاملة.

---

## الترخيص

يتم تطوير LMD ودعمه على أساس تطوعي بواسطة Ryan MacDonald [[email protected]].

يتم توزيع Linux Malware Detect (LMD) بموجب رخصة GNU العامة (GPL) الإصدار 2
بدون قيود على الاستخدام أو إعادة التوزيع. بيان حقوق النشر ورخصة GNU GPL
مضمّنان في ملف `COPYING.GPL`. يجب منح الفضل للأعمال المشتقة كما
تتطلب GNU GPL.

---

## الدعم

مستودع مصدر LMD موجود على: https://github.com/rfxn/linux-malware-detect

يمكن الإبلاغ عن الأخطاء وطلبات الميزات والأسئلة العامة عبر GitHub issues أو إرسالها إلى [email protected].

صفحة المشروع الرسمية موجودة على: https://www.rfxn.com/projects/linux-malware-detect/